基于模糊集合的完整性信任度评估模型

T = α ´ DT + β ´ UT
2
操作系统的完整性信任度模型
完整性信任度评估模型是在现有的信任模型基础上， 借
鉴经典的信任度评估模型， 根据影响操作系统完整性的各个 因素， 评估各个元素对操作系统的完整性的信任程度， 并计算 综合信任度隶属度， 得出其所在的信任集合。
2.1
影响操作系统的因素
在 Linux 中， 内核模块是一种目标对象文件， 需要在内核
Computer Engineering and Applications 计算机工程与应用
2010， 46 （24）
77
基于模糊集合的完整性信任度评估模型
金园园， 吴振强， 种惠芳 JIN Yuan-yuan， WU Zhen-qiang， CHONG Hui-fang
陕西师范大学 计算机科学学院， 西安 710062 College of Computer Science， Shaanxi Normal University， Xi’ an 710062， China E-mail： lanbr@ JIN Yuan-yuan， WU Zhen-qiang， CHONG Hui-fang.Integrity trust degree evaluation models based on fuzzy puter Engineering and Applications， 2010， 46 （24） ： 77-80. Abstract： Integrity measurement is an important technology to meet the requirements of Trusted Computing.According to various kinds of elements which influence the integrity of operating system， a trust degree evaluation model is constructed based on the computing formulas of direct trust degree， indirect trust degree and overall trust degree.With fuzzy set theory， this model quantifies the integrity measurement values between [0， 1].Using membership function， the operating system’ s trust degree can be divided into four trust levels， but not the false or true judgement method in current integrity measurement model.This method can supply more precise integrity state of computing platform for remote verifier and improve the usability of compute system.The simulation results show that the model gives more objective integrity information of the operating system. Key words：trust degree； integrity； fuzzy set 摘 要： 完整性度量是可信计算得以实现的一项重要技术。根据影响操作系统完整性的内核模块、 二进制可执行文件等因素， 通
空间内执行， 可以把它看作是一组已经编译好且已经链接成 可执行文件的程序。在 OS 执行前， 内核就会使用相应的加载 器加载这些程序来执行特定的操作， 实现特定的功能。由于 病毒或木马通常修改进程的执行文件或链接库文件， 以便用 户下次启动系统时仍然能够获得系统的控制权， 因此， 保护进 程静态存储的完整性必须逐个检查进程或磁盘存储介质上执 行文件和运行时链接库文件的完整性。因此， Reiner Sailer 等 人提出影响操作系统完整性的各因素， 包括内核模块、 二进制 可执行文件、 动态链接库文件、 可执行脚本文件 。这里可执 行脚本包括所有解释执行的文件， 然而有些研究发现： 配置文 件同样影响着操作系统的安全 。 综上所述， 所有可能影响操作系统运行环境的因素包括： （1） 自身组成： 内核模块、 二进制可执行文件、 动态链接库文 件、 可执行脚本文件； （2） 外界环境： 内核模块的加载器、 二进 制文件的加载器、 动态链接库文件的加载器和可执行脚本文 件加载器； （3） 相关的文件： 各文件的相关文件。文中称自身 组成因素为直接因素， 外界环境和相关文件为间接因素。
[10] [9]
（1）
T 是综合信任度， DT 为本次度量时的直接信任度， UT 为 其中，
间接信任度。在计算综合信任度时， 要考虑直接信任度与间
β 分别是直接信任度与间接信任度 接信任度所占的权重。α、 α Î[0 1]， β Î[0 1]， 的权重， 且α + β = 1。
2.3.1
直接信任度 操作系统的直接因素： 内核模块、 二进制可执行文件、 可
基金项目： 国家自然科学基金重点项目 （the Key National Natural Science Foundation of China under Grant No.60633020） ； 西安电子科技大学 计算机网络与信息安全教育部重点实验室开放课题 （No.2007CNIS-06） 。 作者简介： 金园园 （1983-） ， 女， 硕士研究生， 主要研究方向为可信计算， 网络安全； 吴振强 （1968-） ， 男， 博士后， 副教授， 主要研究方向为可信计算， 匿名通信技术， 自适应安全； 种惠芳 （1982-） ， 女， 硕士研究生， 主要研究方向为可信计算， 网络安全。 收稿日期： 2009-05-27 修回日期： 2009-07-16
[1]
一个初始的 “可信根” 出发， 在平台计算环境的每一次转换时， “信任” 可以通过传递的方式保持下去而不被破坏， 那么平台 上的计算环境就始终是可信的， 而计算环境的可信事实上就 代表了实体的运行可信。 目前， 国内外对可信度量的研究主要集中在完整性度量 方面。完整性度量是保证计算环境安全性和可信性而采用的
78
2010， 46 （24）
Computer Engineering and Applications 计算机工程与应用 和信任等级等。为了可信度量表的安全， 必须在 TPM 中记录 使用者的信息。
4] 行[2， ， 这种 “一致执行， 不一致停止” 的方案虽然严格地保障了
计算环境的安全， 但是这种单一的 “可信” 和 “不可信” 并不能 全面展示系统的可信状态， 影响计算环境的可用性。 目前， 在不同的应用场景下， 国内外学者分析具体的影响 因素， 使用不同的措施 （如概率统计、 模糊集合和云模型等） ， 试图从定性和定量的角度来更客观地展现信任模型[5-8]， 然而， 由于这些信任模型中信任数据的主观性， 这些信任评估模型 都带有很强的主观性。据此， 本文不仅根据操作系统各因素 的完整性验证结果来设计操作系统的完整性信任度计算公 式， 而且通过模糊集合的隶属函数将完整性信任划分为不同 的信任级别， 这样改变了原有单一的 “可信” 或 “不可信” 的状 况， 这样从评估数据和从评估方式上， 很大程度上克服原有模 型的主观性。
1
引言
个人计算机 （Personal Computer， PC） 的设计者当初为了
基本方法之一 [2-3]， 其核心思想是： 在系统启动时， 从一个可信 信任源开始， 任何将要获得控制权的实体， 都必须先对该实体 进行度量， 验证其完整性。现有的操作系统加载器 （OS Loader） 之前的完整性度量过程是静态、 单路径的， 且系统运行代 码比较固定， 出现选项和变化的可能性较小。所以， 现有的完 整性度量主要集中在 OS Loader 之前的平台组件的完整性度 量， 如安全启动和可信启动的度量模式。由于 TPM 存储空间 的限制， 仅把操作系统看成类似基本输入输出系统 （Basic Input Output System， BIOS） 的单一组件， 将其完整性度量值存 储在一个或几个平台配置寄存器 （Platform Configuration Register， PCR） 中， 由于操作系统自身结构的复杂性和加载操作系 统组成因素时的无序性， 这样方式无法全面展示操作系统的 状态。而且， 平台组件的完整性验证是将完整性度量值和预 期值进行比较， 若完全一致， 则允许组件运行， 否则拒绝其运
2.3
综合信任度
在 ITU-T 推荐的标准 X.509 规范中给出了信任定义 [11]： 实
体 A 认定实体 B 将严格地按 A 所期望的那样运行， 则 A 信任 B。这里称 A 是信任者， B 是被信任者。信任是信任者对被信 任者的一种预期， 这种预期可以具有不同的程度， 信任可以从 完全不信任到完全信任。文中用信任度来衡量这种可信程 度。信任度通常定义为： 一个代理对另一个代理的未来行为 的主观期望 [12]， 据此， 定义完整性信任度为实体在一个给定的 环境中按期望运行的能力的可信度。 操作系统的信任度评价不仅要考虑影响操作系统完整性 的直接因素的完整性度量信任度， 同时也不能忽略上下文环 境而形成的间接因素的完整性信任度 [13]， 首先将直接信任度 和间接信任度定义如下： 定义 1 直接信任度是操作系统直接因素的完整性对综合 信任度的影响程度， 用 DT 表示。 定义 2 间接信任度是直接因素的加载程序或与它们相关 的其他因素的度， 用 UT 表示。 影响操作系统完整性的直接因素和间接因素都是客观 的， 这就从数据来源上避免了现有信任度评估模型的主观性， 使基于模糊集合的完整性信任度评估模型较为客观地反映了 操作系统的可信状态。 使用如下信任度评估算法的形式来描述综合信任度：